¿Cómo alojar su sitio web seguro y rápido?

Un sitio web se puede abrir rápidamente en diferentes países, proteger las cuentas de usuario y seguir negociando con relojes ocupados. Para ello, todo el trabajo está determinado desde el principio a donde hacer. El contenido común se presenta en un punto cercano al usuario. Las transacciones de sesión, equilibrio y pago están caminando por la aplicación que confirma autorización y registros.

Tomamos el hosting sobre la forma en que monitoriza una solicitud del navegador. Primero vemos cómo el contenido llega al usuario, luego cómo la aplicación controla la solicitud. En secciones recientes hay acceso al servidor, Fail2Ban y volver de la copia de seguridad.

Plesk Empezando con el diseño de alojamiento

Un sitio comunitario, un panel de almacenamiento y soporte; archivos de aplicaciones, bases de datos y servicios que ejecutan estos dos. Estamos hospedando en la gestión de este diseño Plesk Usamos. Conectando el nombre de dominio al sitio, gestión de certificación, servidor web y configuración de operación de la aplicación se abordan en la misma capa de administración. La tienda que el usuario ve es la cara que se abre de este esquema.

Cuando un usuario abre la página, se pueden presentar visuales abiertas y archivos de estilo desde el servidor web. Las transacciones personales como sesión, balance o solicitud de soporte son evaluadas en la práctica, los registros necesarios se toman de la base de datos. Realizar estas tareas en el lugar adecuado reduce hacer el mismo trabajo de nuevo para cada visita. Por ejemplo, cuando una noticia común viene visualmente de cache, el privado del usuario El soporte pasa a través del control de acceso.

Plesk La versión de PHP y los grupos de trabajo que la aplicación utiliza sobre ella pueden ser gestionados. Las conexiones de bases de datos, permisos de archivo y copias de seguridad también deben ser arregladas según las necesidades del servicio. Alojamiento adecuado de una tienda no sólo cubre la apertura de la página principal. Cuando llegue el aviso de pago, se guarda el pedido, la ejecución de entrega al servidor de juego y el soporte del usuario las mismas piezas de servicio para llegar al registro.

¿Cuán rápido abre su sitio web en diferentes países?

El contenido común se lleva a cabo en la aplicación de las transacciones del período de sesiones cuando se presentan desde diferentes regiones.

Entregamos tráfico a usuarios en diferentes países al conocer la ubicación que es apropiada para ser solicitada. Contenido común como logotipo, archivo de estilo y visuales abiertas se puede presentar desde un punto cercano al usuario. Por lo tanto, no necesita ir al servidor anfitrión para cada imagen. La ruta rápida para el usuario en un país puede no dar el mismo resultado en otro país El primer tiempo de respuesta debe medirse desde diferentes regiones.

El panel de sesión pasa por la aplicación autorizada de las transacciones de saldo y pago. Por ejemplo, el mismo producto visual se puede presentar desde caché en varios países. Si el usuario es acreditado, la transacción se procesa al registro principal del pedido y el nuevo equilibrio se muestra sólo en su propia sesión. Con distribución regional de tráfico, los límites de acceso de los datos privados del usuario se mantienen juntos.

Solicitudes de Web llegar al servidor

¿Cómo leer la regla ModSecurity?

PleskModSecurity, utilizado para el firewall de aplicaciones web en , controla las solicitudes HTTP con reglas estructuradas. El conjunto de reglas describen qué proceso examinará qué área, qué partidos y partidos. Una regla sólo puede examinar la forma y método de solicitud.Otras reglas pueden dividirse en áreas de forma, separar valores JSON o estructura de instalación Los encabezados de solicitud se leen en la etapa inicial; el control del cuerpo se hace después de que el contenido esté separado. Es necesario verificar que el separador adecuado trabaja para un punto final utilizando JSON o cargar archivos.

Por ejemplo, cuando se acepta un texto de página de búsqueda abierta, la dirección de carga del archivo está esperando un tipo específico de solicitud POST solo. Se comprueban los dies a ejecutar script en el cuadro de búsqueda. En la dirección de cargar archivos, métodos, tamaño del cuerpo y número de archivos son limitados. Una regla de modeSecurity debe ser rastreada en un área de coincidencia y acción seleccionada diariamente. Si se supervisa, qué tipos de contenido también deben determinarse. Un detalle de error de impresión o base de datos que se filtra en la pantalla de fallas de la aplicación. La aplicación debe mantener sus respuestas de errores simples, escriba detalles de diagnóstico especialmente.

Evaluar la solicitud en contexto en lugar de bloquear por palabra única

En un mensaje de soporte, la palabra “script” o “select” es habitual. Por ejemplo, un usuario puede enviar texto de error técnico. La auditoría debe ver qué campo y en qué estructura de la palabra. Con script etiqueta de un campo de texto llano, la muestra de código mostrada como texto en un mensaje de apoyo no da el mismo resultado. También es importante. Con el cortafuegos, la aplicación puede llegar a un entendimiento diferente en la app que vale la pena pasar por la auditoría si hay diferentes comentarios entre sí.

OWASP Core Rule Set (CRS) convierte partidos a puntos en las instalaciones utilizadas para valorar anomalías. Por ejemplo, con un encabezado sospechoso, el ataque muere en el cuerpo puede marcar juntos en la misma petición. La puntuación total está bloqueada cuando alcanza el umbral configurado. Los ID de reglas indican qué coincide con la puntuación. Si hay otra capa de red delante del cortafuegos, cada caso cada uno Es necesario probar la solicitud dinámica de una manera que realmente pasa por la auditoría.

¿Qué regla cambia si se bloquea una solicitud válida?

Las nuevas reglas deben ser probadas primero con flujos de trabajo reales en modo de detección o en un entorno de prueba. El producto guarda, mensaje de soporte, carga visual y aviso de pago firmado son probados individualmente. Si un formulario se bloquea accidentalmente, la solicitud se encuentra en el camino y el ID de regla. Por ejemplo, si un editor de diseño autorizado es realmente HTML esperado en el único campo de la zona individual, no hay excepción por sí solo se define para la carretera, el campo y la regla pertinente. En tal excepción, la aplicación debe someterse a su propia autorización y control de contenidos.

Cuando se activa el bloqueo, la transacción válida debe ser re-pruebada a la solicitud corrupta y el escenario de alto tráfico. La razón para la decisión sobre los registros debe ser vista, contraseña, datos de pago y conmutadores de conexión deben ser enmascarados. La tasa de error que los usuarios reales reciben entre los resultados a ser monitorizados es el número de bloqueo y el tiempo de respuesta en horas ocupadas. También debe completar la notificación, mensaje de soporte y carga de archivos correctamente.

Plesk Guía ModSecurity · OWASP CRS de anomalía · OWASP CRS discordancias y excepciones de reglas

Ponga el lugar correcto de verificación gestionada

WAF evalúa los patrones de ataque conocidos con la forma, el cuerpo y otras señales que quieren. Debe haber un conjunto de reglas bien definidas, que incluye límite de tiempo para tráfico sospechoso del navegador, Desafío gestionado y pasos de bloqueo cuando sea necesario. También puede pertenecer a docenas de usuarios en la misma red de escuelas IP. Primero se refiere a la carretera, intervalo de tiempo y tasa de comercio no exitosa. Si pones la verificación del navegador en la dirección de entrega o el aviso de pago del plugin, no puede responder a la automatización. Usar la firma, sello de tiempo y el procesamiento de límite de velocidad especial en estos extremos.

Supongamos que una noche del viernes tiene cientos de solicitudes en un minuto de IP. Las peticiones van a abrir visuales a todos, la mayoría de ellas se encuentran desde el caché, y si el número incorrecto de entradas no aumenta, los usuarios pueden inmediatamente enfriar la IP del juego. Si el mismo IP se llama contraseña en cientos de cuentas diferentes a corto plazo, el límite de velocidad es significativo para el camino de entrada. Lea el partido de las solicitudes, luego aplique verificación o bloqueo por cierto tiempo. Obtenga el tiempo de acabado y la ruta de retiro de la regla.

Solicitud, sesión y control de autorización en la solicitud

El formulario del navegador del usuario se encuentra a la entrada de un plugin de juego y una carga de archivos. En el controlador central, la solicitud pasa por capas de control antes de iniciar el proceso correspondiente. La primera capa limita la solicitud hasta que la misma fuente estará ocupada en corto tiempo. Aplicable. Cuando el límite se llene, se detendrá con una respuesta que informa la solicitud de espera. Por lo tanto, no tiene que compartir el mismo presupuesto en continua solicitud de soporte con una vista de página ordinaria. La página abierta a todos, el panel de sesión y la notificación de pago pasan por diferentes controles.

Regla establecida para reflejar las entradas y datos de POST en la página

El controlador central analiza las áreas de forma incluyendo arrays anidados. Eliminar el cuerpo en los extremos correspondientes JSON, eliminando valores. Normalización antes del escaneo asegura que la misma entrada codificada en diferentes formatos se evalúa con las mismas reglas. Los límites de longitud del cuerpo y área también están controlados. Si usted mira los datos en una solicitud. Las reglas de seguridad son toda la cobertura de flujo desde la entrada de solicitud al usuario. El método de solicitud aceptado por cada punto final, campos, tipos de datos, longitudes y tamaño del cuerpo debe determinarse. No se deben procesar áreas impermeables, las solicitudes inválidas deben ser rechazadas sin iniciar el proceso relacionado. Para los ensayos repetidos de la misma fuente, el tipo de procesamiento es adecuado para la velocidad adecuada Los límites deben definirse.

El chequeo de una solicitud POST no es suficiente solo. Incluso si la solicitud viene de un usuario autorizado, otro usuario debe cambiar su registro. La comprobación CSRF se debe aplicar en transacciones de intercambio de datos con sesión del navegador. Los valores entrantes deben estar vinculados a la consulta como parámetros y codificados según el enlace utilizado cuando está escrito en la página. El contenido debe verificarse con una lista de etiquetas y atributos abiertos. Por lo tanto, un valor almacenado en la entrada no se convierte en script de ejecución de contenidos en otra pantalla que luego se muestra.

No determinamos el límite de seguridad en las cajas de formulario

Un moderador añade captura de pantalla a 471. Si el servidor se parece a una sesión en solitario, el usuario puede añadir archivos a la solicitud de otro usuario haciendo 471 en la petición. Incluso si el archivo es un PNG impecable aquí. Verifique que la persona que inicie sesión primero tiene derecho a acceder a esa solicitud, entonces la autoridad adicional. Finalmente, el archivo mismo del archivo en sí mismo no está autorizado. Revisión. Identidad, permiso de transacción y tipo de archivo son tres controles separados.

El propósito de grabar el texto escrito por el usuario no es eliminar ningún carácter especial. 5 , 10 Debe almacenarse como expresión y leer en la página. El mismo valor se codifica en HTML, mientras que entra en la consulta de bases de datos como parámetro. Respuesta JSON también escrita con el encoder JSON. Con una única función “limpia”, todos estos contextos funcionan para resolver, ambos interrumpen mensajes reales, dejando algunas pantallas.

¿Qué pasa si la cookie de sesión se utiliza de otra IP?

Cuando se verifica la cuenta web, el registro del servidor controla la dirección IP registrada en el login y el último tiempo de validez. Si alguien copia el token y lo envía desde una IP diferente, la sesión no coincidirá con el registro y la solicitud no está autorizada por esa cuenta. La misma regla puede requerir reingresar si el usuario cambia IP de datos móviles a Wi-Fi.

httpOnly se utiliza en PHP session cookie. Cuando HTTPS es utilizado, Secure también está habilitado. El JavaScript en el navegador httpOnly limita su cookie directamente a leer. Secure cookie permite que sea enviado vía HTTPS. El emparejamiento IP limita la reutilización de un token capturado desde una dirección diferente. Ajustes de cookies, codificación de salida MVC y registro en el servidor Así que funciona juntos.

Carga de archivos y almacenamiento seguro

¿Cómo entiendes que una imagen es realmente imagen?

El encabezado MIME enviado por el navegador se puede cambiar. Ponga el límite de tamaño en la línea de instalación, compruebe la extensión permitida, escriba el contenido del archivo y abra la imagen con una biblioteca de imágenes. Limite el número de píxeles. Cuando se abre un pequeño archivo comprimido, puede consumir demasiado memoria. Recomendar la imagen subida y almacenar el servidor producido por el nombre. En el directorio, PHP no debe ser operado, debe haber un control de propiedad en la descarga de archivos especiales.

Nombre del archivo generado por la doble extensión y sistema

Nombre de un archivo image.php.png Puede ser. Por último, la escritura PNG no puede probar que los datos dentro de la imagen. Es importante para que el tipo de archivo y la estructura visual sean corregidos durante la instalación. Si un PNG real pasa la verificación, la identificación del sistema se utiliza en lugar del nombre original del archivo en secuencias de grabación visual soportadas. 8d7c42f1.png se llama una única extensión visual en el formato. Las partes que el usuario añade al nombre del archivo no determina el nombre del archivo en el servidor.

Al cambiar el nombre, el contenido significa que los controles de bloqueo se ejecutarán en el área de verificación y carga. No sólo acortan el nombre del archivo, sino que un contenido ejecutable mostrado como imagen no aporta seguridad. Recopilado el visual verificado y solo ofrecido el tipo esperado es parte de la línea de carga.

El componente de instalación aborda CGI, shell script, JavaScript y PHAR como contenido ejecutable junto con extensiones comentables tales como PHP y PHTML. La protección del script en los procesadores de archivos generales puede manejar estos tipos como texto simple y añadir .txt en nombre del archivo. El área de carga visual rechaza el archivo que no cumple con su lista MIME permiso. Por lo tanto, el archivo general se tratará como un archivo genérico. no significa que los procesadores pueden almacenar un archivo de texto, el mismo archivo se considerará visualmente.

¿Cómo tratar los scripts almacenados en SVG?

SVG describe el dibujo con una estructura basada en texto. Se puede añadir a un atributo de disparador de incidentes o conexión peligrosa en la estructura. El archivo puede llevar contenido que cambiará el comportamiento de página al aparecer como un logotipo pequeño en la pantalla. Por lo tanto, el sistema también examina el contenido de SVG. Las etiquetas script, procesadores de eventos, esquemas de enlace peligrosos e ingredientes activos incrustados son ejemplos controlados. La instalación no inconveniente está bloqueada sin ser procesada.

La tarea del área de instalación también es importante. Con el campo visual de usuario ordinario, no es necesario tener la misma política de archivo, que se incluye en la presencia de diseño de la persona autorizada. En el flujo de protección revisado, hay restricciones de carga general y controla áreas específicas de diseño. Esto no significa que cada SVG sea aceptado; incluso en el área permitida, el contenido del archivo tiene auditado.

¿Quién puede acceder al archivo cuando se complete la instalación?

Puede estar abierto al público para todos, si la captura de pantalla que solicita soporte puede contener la dirección de correo electrónico del usuario. Ambos no deben ser los mismos que las reglas de almacenamiento y ofrecer incluso si hay imágenes. Mantenga el acceso adjunto fuera de la raíz web, compruebe que el usuario todavía tiene acceso a la demanda correspondiente en la solicitud de descarga. Un nombre de archivo difícil para adivinar es control de acceso único No lo use. Usted puede presentar al público como una imagen reconvertida y no operable.

En caso de error durante la producción de predisposición, es necesario no abrir a todos en parte. Guardar en el espacio temporal y mover la salida del nombre final. Establecer el límite de tamaño tanto en el servidor web como en el lado PHP. Por ejemplo si la aplicación pone 4 MB límite, entonces el servidor delante de él acepta cuerpos mucho más grandes, incluso el archivo que será rechazado será rechazado, incluso el ancho de banda de la cinta y el temporal Consume almacenamiento. Dar un mensaje claro al usuario en la solicitud que excede el límite que puede probar de nuevo.

Plantillas MVC y cambios SFTP

Cómo dividir plantilla y código de aplicación con MVC?

Utilizamos MVC en nuestras plantillas. Cuando se abre una página de tienda, el controlador responderá a la solicitud y determinará qué registros pueden acceder. La capa de datos trae productos y precios. La apariencia produce la página con nombre de producto, precio y información de stock que se le da. Gracias a esta distinción, el flujo de pago o base de datos para cambiar la tarjeta de producto o lista de diseño de un tema No hay necesidad de cambiar la consulta.

El tema editable y los archivos de panel pertenecen a la capa de presentación. El controlador de plantilla puede ser operado por etiquetas PHP, encabezados de comentarista de script y bloques directamente SQL dies conectados en apariencia. Incluso con el nombre de archivo .php, el contenido está sujeto a estas reglas.El motor de plantilla compila la plantilla verificada a su propio formato de trabajo. el componente da. La directiva de salida cruda está restringida, las rutas de activos también son relativas y limitadas con directorios permitidos.

Un tema puede mostrar el título de la solicitud de soporte. El encabezado decide backend a qué usuario se mostrará y qué registros de la base de datos serán retirados. Si el archivo temático está autorizado directamente para leer archivos del servidor o abrir una conexión de red, entonces el efecto de un cambio de diseño se extiende a los datos de la tienda.

¿Qué hace MVC cuando la entrada del usuario se refleja en la página?

El valor que un usuario escribe en el cuadro de búsqueda puede volver a ver en la página resultado. Existe un riesgo de XSS que se quema si se muestra en la misma respuesta. Se registra un mensaje de soporte, y luego cuando se muestra en otra pantalla, nace el riesgo XSS. En ambos casos, cómo el navegador comentará los datos, determina la apariencia de MVC donde se genera la salida.

El compilador de plantillas trabaja para valores estándar Salida HTML, códigos caracteres especiales y uñas. Por ejemplo, el <scriptilo en una entrada aparece como texto al usuario cuando se escribe en el campo de texto HTML. El valor bruto de la plantilla también está bloqueado en el control de fuente. En áreas donde las necesidades HTML ricas son claramente utilizados bloques uç backend. Si un valor se utiliza como URL, El gráfico de enlace permitido también debe aplicarse a la codificación JSON segura si se transfiere a JavaScript como datos.

Cómo activar la plantilla organizada con SFTP?

En la sincronización SFTP, el archivo primero viene a una copia de trabajo separada para el tema. La capa de sincronización controla que el archivo pertenece al tema correspondiente y se encuentra en una ruta editable. La resolución de carretera evita las transiciones de directorios fuera del área de trabajo y los enlaces restantes de destino afuera. Un nuevo registro hecho en el panel de una antigua copia SFTP no aplasta la actualización del archivo también se compara.

La copia de trabajo escanea el contenido antes de que se ingrese en la plantilla activa. Llamada de casco, lectura de archivos o lista de índices, acceso a variables multimedia, operaciones de cURL y socket son ejemplos controlados en esta capa. El cambio bloqueado no será escrito en la plantilla habilitada. Una apertura de sesión válida con SFTP permite transferencia de archivos. Si el sitio está activado por ese archivo, la plantilla de verificación decide.

¿Qué autorizaciones de trabajo se deben dar a un plugin?

La tarea que un plugin trabaja en el lado del servidor es limitada. Si un formato add-on la lista de productos, no hay necesidad de cambiar o vincular permisos de archivo. Diferentes maneras de llegar a la misma autoridad deben discutirse juntos mientras las restricciones se determinan. Un cliente HTTP puede enviar solicitud a una dirección donde el servidor es accesible. La autorización para iniciar un proceso se ordena al sistema operativo. Estas autoridades deben ser limitadas por separado. Además de revisión de código, permisos de proceso, acceso de archivos y salida de red también debe restringirse por la tarea del plugin.

Acceso al servidor e información de conexión

¿Dónde usar la contraseña de base?

La aplicación necesita una contraseña válida para conectarse a la base de datos. En el flujo de conexión que revisamos, la contraseña se almacena en el servidor cifrado y resuelto por el proceso de aplicación que conecta el enlace. Por lo tanto, ver un registro de configuración no puede leerse solo la contraseña de la base.

Las pantallas de gestión y soporte deben mostrar la información necesaria para el proceso ya que la conexión no funciona. El valor abierto de la contraseña no debe ser incluido en estas pantallas o respuestas de error. Con el interruptor de resolución, el registro cifrado debe mantenerse por separado y limitado al proceso que crea acceso a la clave. Esta separación de acceso elimina la necesidad de ver la contraseña en las transacciones de soporte diario.

PleskFail2Ban y protección de acceso en

En Linux PleskFail2Ban, que se puede activar en monitores los registros de servicios seleccionados. La regla definida para cada servicio determina qué registros contarán, cuántos ensayos llenarán el umbral dentro del tiempo y cuánto tiempo se bloquea. Por ejemplo si hay entradas fallidas desde la misma IP al SSH, la norma correspondiente puede reducir temporalmente el acceso de la IP en el cortafuegos. Plesk servicios como panel, SSH y correo pueden ser vistos con diferentes registros y reglas.

Plesk’ los límites integrados de protección de entrada fallan las entradas del panel y API. El acceso a los administradores también se puede abrir a ciertas direcciones IP o redes. Las cuentas que no necesitan conexiones remotas en la base de datos pueden limitarse al acceso local. Si un servidor de aplicaciones separado está conectado, sólo el acceso a la cuenta de base de datos pertinente se da desde la fuente necesaria.

ModSecurity evalúa un contenido de solicitud HTTP. Fail2Ban procesa el nivel IP según los eventos que se ven en sus registros de servicio. Ya que pueden compartir la misma IP múltiples personas, la duración del umbral y obstáculo debe ser ajustada según el servicio, los obstáculos deben ser monitoreados diariamente.

Plesk Fail2Ban y protección de insumos · Limitaciones de acceso del administrador · Normas de acceso a la base de datos

Densidad, respaldo y retorno

Plesk, Docker y realmente página de apertura rápida

Plesk Se pueden gestionar las piscinas PHP-FPM y los límites de memoria para sitios sobre el sitio. En una instalación utilizada en Docker, procesadores y límites de memoria, archivos de aplicaciones solo lectura e IDs de servicio separados limitan el efecto de un trabajo. La velocidad de la página principal determina obras concretas: dimensiones visuales, consultas de bases de datos y proceso desde la espera de la primera respuesta. Mantenga el panel privado del usuario fuera de la caché común. Supervise las cinco respuestas más lentas y PHP pide espera en la cola.

¿Qué medir antes de abrir un contenedor?

ZonelyNuestro objetivo es completar cada solicitud utilizando lo más mínimo posible. Monitorizamos el tiempo de la CPU, el uso de RAM, el acceso a disco y red y los datos escritos en el campo de intercambio. Alivia procesadores y discos que no ejecutan la misma consulta en cualquier lugar innecesario. Manteniendo el caché limitado equilibrios consumo de RAM. Para completar una petición con menos memoria, estamos constantemente buscando el área de intercambio muestra el tiempo de respuesta y la tasa de error en intensidad junto con el consumo de recursos que un cambio no funciona.

Cuando los usuarios dicen “sitio congelado” la primera distinción es donde se espera la respuesta. Página de resultado abierto para todos es rápido, comienza desde las consultas SQL que funcionan al mismo tiempo comparando el panel del usuario que ha iniciado sesión. Si la imagen estática es más lenta entonces la capacidad de red, disco o servidor también debe ser revisado. Todos los empleados en la piscina PHP están esperando responder lentamente de un servicio externo, el uso de CPU es bajo Incluso si las nuevas solicitudes permanecen en orden. Aumentar el número de empleados puede aumentar la estrechez enviando más consultas simultáneas a la base de datos.

Por ejemplo, puede calcular la tabla de resultados una vez más y ofrecer un socio por corto tiempo en lugar de recalculación para cada usuario. La página y cesta correspondientes “Mi cuenta” son especiales para el usuario. Después de cambiar la regla de caché, abra la misma dirección con dos cuentas de prueba diferentes. Si el segundo usuario ve el nombre, saldo o carrito de su primer usuario, el rendimiento está disponible Por ejemplo, se han revelado datos. No complete la prueba mirando el tiempo de apertura de la página.

¿A qué hora permanecerá la tienda cuando regrese a la copia de seguridad?

Piensa que has perdido pagos desde la mañana 03.00 o el almuerzo. El proveedor ha recibido el dinero y varios premios al juego se pueden entregar. Algunas recompensas que funcionan inmediatamente en la antigua base de datos pueden distribuir la segunda vez. Abra la tienda restaurada en entorno aislado antes. Compare los posteriores IDs de pago y entrega de la copia de seguridad, luego establecer pedidos faltantes, luego seleccione cola reiniciar. La prova de recuperación para un sitio comunitario es más valiosa que el control de "retrocedido" solo.

La última prova es simple: enviar el tipo equivocado de archivo, subir una foto pequeña válida y abrir la tabla resultado de un usuario normal en este momento. Luego restaurar la copia de seguridad a un entorno separado. Este proceso muestra que una regla de protección no bloquea y bloquea al usuario y guardar lo que después de un evento real.

Guía de carga de archivos OWASP · Cloudflare Páginas de verificación